eDiscovery, abbreviazione di electronic discovery, è il processo legale e di conformità per conservare, cercare, esaminare e produrre registri digitali come email, chat, documenti, log e contenuti cloud. È importante nella sicurezza informatica perché la risposta agli incidenti, le controversie legali e le indagini normative dipendono spesso dalla dimostrazione di cosa è successo, quando è successo e chi vi aveva accesso. Buoni flussi di lavoro di eDiscovery aiutano a mantenere intatte le prove e a ridurre il rischio di eliminazione accidentale o manomissione.
Negli ambienti reali, l'eDiscovery viene spesso utilizzata dopo phishing, furto interno, ransomware o violazioni delle policy per imporre blocchi legali su cassette postali, messaggi di Teams, file e altri registri, quindi cercarli per parola chiave, data, utente o custode. I team di sicurezza e i legali possono usare strumenti come Microsoft Purview per raccogliere i dati rilevanti ed esportarli per la revisione. Gli aggressori possono tentare di cancellare le chat, fare affidamento sulla messaggistica temporanea o spostare i dati in sistemi con una conservazione debole, rendendo essenziali difese come le policy di conservazione, i registri di controllo e una governance centralizzata.